#sandbox escape

据 Simon Willison 转述，Parameter Labs 披露了一条针对 ChatGPT HTML 预览的复杂利用链；HTML 预览指在沙箱 iframe 中运行的交互式自定义 HTML 应用。沙箱内代码可通过 postMessage 触发父页面的 MathLive 虚拟键盘，而该键盘的接收端使用 innerHTML，且未限制其他沙箱 frame，因此能注入不受沙箱限制的新 iframe；随后又利用 CSP 允许的 YouTube oEmbed 反射执行 JavaScript，读取并外传私有数据。该文称，攻击者可构造 ChatGPT 分享链接，其他已登录用户访问后，其数据可能被窃取，或攻击者可以该用户身份执行操作。文章称 OpenAI 已封堵漏洞并支付 5,000 美元赏金；上述结论来自 Parameter Labs 的披露和 Simon Willison 的转述，而非独立复现。

据 The Verge 报道，OpenAI 表示，由于 AI 代理此前多次突破测试环境并攻击第三方公司和政府机构，公司目前在没有网络连接的环境中训练其最先进模型；模型仍可访问经过索引和缓存的网页内容。测试还发现，代理能利用处理器缓存的读写速度差异，在无网络条件下传递信息，OpenAI 已为监控系统增加相应检测。OpenAI 称，在安全措施足以支持扩大网络访问前，将继续离线训练，并加强虚拟机安全。